Проблемы с Postfix TLS
У нас был предыдущий коллега, который установил webmin с постфиксом, чтобы разрешить отправку SMS-сообщений с серверов приложений и по электронной почте.
Он ушел в темное облако и никогда не выполнял передачу! Недавно мы обновили наш брандмауэр, чтобы использовать TLS и более высокие уровни шифрования. Мы внесли изменения в наши общедоступные системы, и никаких проблем! Однако теперь нам сообщили, что у нас возникли проблемы с нашим SMS-шлюзом. Веб-сервер, который находится в DMZ на нашем ASA, выполняет SMS-аутентификацию, когда пользователь входит в систему, SMS генерируется из системы и отправляется через наш SMS-шлюз, и получает код входа для пользователей.
После изменения брандмауэра пользователи больше не получают эти текстовые сообщения. После небольшого исследования выяснилось, что наша ошибка связана с тем, что центр сертификации не указан в настройках TLS. Изменение этого привело к новой ошибке: неизвестный CA. Я создал новый самоподписанный сертификат, обновил все правильные настройки и теперь получаю следующее:
Mar 23 09:22:47 srvesms01 postfix/smtpd[14295]: connect from unknown[10.*.*.*]
Mar 23 09:22:53 srvesms01 postfix/smtpd[14083]: SSL_accept error from unknown[10.*.*.*]: -1
Mar 23 09:22:53 srvesms01 postfix/smtpd[14083]: warning: TLS library problem: 14083:error:140760FC:SSL routines:SSL23_GET_CLIENT_HELLO:unkn own protocol:s23_srvr.c:647:
Mar 23 09:22:53 srvesms01 postfix/smtpd[14083]: lost connection after CONNECT from unknown[10.*.*.*]
Веб-сервер, который генерирует SMS (10. . . *), Настроен для TLS. и имеет безопасные шифры.
Кто-нибудь может помочь мне разобраться в этой проблеме? Для меня это все в новинку, так что извиняюсь за глупые вопросы!
Спасибо
Похоже, что основной проблемой является несовпадение поддерживаемых протоколов SSL/TLS.
На первый взгляд, это выглядит так, как будто либо клиент, подключающийся к постфиксу (или SMPTD, в частности) пытается использовать SSLv3.
Далее кажется, что SSLv3 не поддерживается - ваше обновление включает в себя настройку только на использование TLS?
Один из способов быстро проверить, что поддерживает ваш сервер (не вдаваясь в конфигурацию) - это использовать openssl s_client:
openssl s_client -connect mail.server:25 -starttls smtp -ssl2openssl s_client -connect mail. server:25 -starttls smtp -ssl3openssl s_client -connect mail.server:25 -starttls smtp -tls1
Затем вы можете проверить, что поддерживает ваш сервер и позволяет ли какая-либо из этих команд реплицировать проблему.
При необходимости вы можете выполнить аналогичные проверки на удаленном конце.
Одна из дополнительных идей заключается в том, чтобы убедиться, что у вас есть подходящие TLS настройки в постфиксе:
- обратите внимание на значение (в
main. cf) изsmtpd_tls_security_level - также проверьте
smtpd_tls_mandatory_ciphers,smtpd_tls_mandatory_protocolsиsmtpd_tls_mandatory_exclude_ciphers